Что это делает

Охота — это не сканирование. Douglas собирает артефакты, которые аналитик собирал бы вручную — процессы, службы, запланированные задачи, автозапуск, соединения, учётные записи, драйверы, журналы событий, cron, systemd, историю оболочки, веб-корни — и запускает по ним 201 встроенную детекцию, а также ваши собственные правила Sigma, YARA и пользовательские правила.

Затем он делает то, что большинство инструментов оставляют вам: он говорит, какие находки всё ещё требуют решения, на какой из шестидесяти внешних адресов смотреть в первую очередь, и позволяет что-то с этим сделать, не открывая сессию RDP.

Зачем это нужно

Инфраструктуры, которым охота нужнее всего, часто оказываются теми, где нет EDR: несколько десятков серверов, нет бюджета на агентов и инцидент, начавшийся три дня назад. Выбор обычно стоит между коммерческой платформой, которую никто не согласовал, и папкой скриптов PowerShell, которые кто-то запускает вручную.

Douglas находится между ними. На исследуемом хосте ничего не устанавливается — коллектор запускается один раз и завершается — и каждый результат попадает в одну консоль, которую можно передать тому, кто возьмётся за инцидент следующим.

Триаж: что ещё требует решения

Находки легко создавать и дорого читать. Этот экран существует, чтобы очередь оставалась достаточно короткой, чтобы кто-то всё ещё читал её на третьем проходе.

Три исхода, и разница между ними важна полгода спустя:

Ничего никогда не удаляется. Отзовите подавление — и всё, что оно скрывало, вернётся. Самые шумные правила находятся внизу, потому что их настройка очищает очередь быстрее, чем разбор её находка за находкой.

Детекции, которые можно читать, настраивать и отключать

Все 201 детекция сгруппированы в 15 категорий — переключаемых по одной или целым семейством сразу. Нажмите на любое правило, чтобы прочитать, что оно проверяет, как оно срабатывает легитимно и что делать дальше.

Различие, которое разъясняет экран, потому что ошибиться здесь легко:

Отключить правило — не то же самое, что подавить его. Отключено означает, что коллектор вообще не выполняет проверку — ничего не создаётся и нечего рассматривать. Подавление фиксирует находку и помечает её как решение, принятое кем-то, с указанием причины.

Используйте отключение для семейства шума, с которым вы смирились. Используйте подавление для конкретного шаблона на конкретном хосте.

Прочерк в столбце Сработало обычно и есть здоровый ответ: DGL-014 срабатывает только когда журнал выглядит очищенным. Список — это то, что проверяет инструмент, а не то, что не так.

Пишите свои правила как текст

Форма быстрее для вашего первого правила и медленнее для двадцатого. Поэтому правила можно также писать как текст — с проверкой по мере ввода, по 11 таблицам артефактов и 13 операторам.

Поле под ним выполняет две задачи. Когда правило неверно, оно называет строку, а не правило:

Когда оно верно, оно говорит, чему правило на самом деле будет соответствовать — потому что правило, которое проходит проверку, а затем соответствует не тому, что имел в виду его автор, и есть та ошибка, которую стоит поймать:

Valid — ACME-001 Reads Services and matches when Signed is false and PathName does not contain 'Program Files' and PathName does not contain 'System32'

Импорт и экспорт в JSON, YAML или CSV. Круговой обмен гарантирован — наш собственный экспорт проходит наш собственный валидатор во всех трёх форматах.

Индикаторные фиды и репутация отвечают на разные вопросы

Пятнадцать источников фидов поставляются готовыми к использованию — Feodo, ThreatFox, URLhaus, TweetFeed, USOM, SSL Blacklist, Emerging Threats, OpenPhish, MISP — плюс пользовательский фид, читающий любой URL, возвращающий данные в форме индикаторов.

Четыре провайдера репутации: AbuseIPDB, VirusTotal, ThreatFox (бесплатные тарифы) и GreyNoise (платный, по умолчанию отключён). Вердикты никогда не смешиваются в одно число — AbuseIPDB считает жалобы, VirusTotal считает движки, ThreatFox знает инфраструктуру, и среднее из них — это цифра, которую ни один из них не стал бы защищать. Значок показывает худший вердикт с указанием провайдера, который его выдал.

Бесплатные тарифы защищены: результаты кэшируются на 12 часов, 40 адресов за запуск и ежедневный счётчик, который останавливается раньше, чем провайдер. Приватные адреса никогда не отправляются.

Реагирование из консоли

Одиннадцать действий в трёх группах — смотреть, действовать, сдерживать. Пять только для чтения помечены иначе, чем шесть, изменяющих хост, и каждое изменяющее действие требует письменной причины.

Изоляция намеренно сохраняет доступность консоли: хост, отрезанный от собственного агента, нельзя освободить удалённо, и кому-то пришлось бы идти к нему. Цели, которые сломали бы машину, а не сдержали вторжение — lsass.exe, systemd, pid 1, Administrator, /bin/bash — отклоняются, а не сопровождаются предупреждением, потому что момент, когда это используется, — это момент, когда никто не читает предупреждения.

Вывод возвращается в виде структурированных карточек, а не дампа терминала, и строки действенны: в списке процессов есть кнопка Kill для каждой строки, у адреса — Reputation.

Sigma и YARA на обеих платформах

Правила Sigma для Linux, чей источник журнала не может быть прочитан, отклоняются при загрузке с указанием причины, а не загружаются и оставляются, чтобы никогда не сработать — пустой результат от правила, которое не могло выполниться, выглядит точно так же, как чистый хост.

Агент Linux проверяет, установлен ли auditd, запущен ли он и загружены ли в него правила, затем сообщает, чего не хватает и чего это стоит:

Отправляйте туда, куда люди уже смотрят

Одиннадцать назначений в трёх группах:

• SIEM — Wazuh/JSON, Splunk HEC, Microsoft Sentinel, Elasticsearch, QRadar LEEF, CEF, NDJSON
• Уведомления — Slack, Microsoft Teams, PagerDuty
• Кейсы — TheHive

Назначения для чата и пейджинга отображают предложение, а не запись, и ограничивают число находок в одном сообщении: канал, в который вставлено сто строк, — это канал, который люди отключают.

Быстрый старт

Или с Docker:

Откройте http://your-server:8000

Вход по умолчанию

Имя пользователя: admin Пароль: douglas

Консоль принудительно требует смены пароля при первом входе — значение по умолчанию, зашитое в пакет, не должно оставаться незамеченным. Задайте DOUGLAS_CONSOLE_PASSWORD в .env перед первым запуском, если предпочитаете выбрать свой собственный.

.env читается только пока база данных пуста. После первого запуска сбросьте пароль командой python3 -m app.manage passwd admin.

При запуске вы получаете токен регистрации для следующего шага:

Добавление хоста

Deploy → выберите платформу → скопируйте одну команду.

Windows — PowerShell с повышенными правами:

Linux — от имени root:

Шесть шагов транслируются в терминал: загрузка, регистрация, получение коллектора, установка службы, подтверждение, что она работает, первая регистрация. Если регистрация не удалась, ничего не устанавливается, и об этом сообщается.

Первый час

Архитектура

• На исследуемом хосте ничего не устанавливается. Коллектор запускается и завершается; агент — это запланированная задача или unit systemd, который забирает работу.
• Консоль никогда не подключается внутрь. Агенты опрашивают, поэтому хост за NAT или односторонним межсетевым экраном всё равно работает.
• SQLite, один файл. Ни брокера, ни кластера, ни внешней базы данных. Миграции схемы выполняются при запуске и только добавляют.

Замечания по безопасности

• Смена пароля принудительна при первом входе; учётные записи блокируются после повторных неудач.
• Ключи сессий генерируются при первом запуске с правами 0600 — фиксированный ключ, поставляемый в пакете, был бы общим для всех, кто его скачал.
• Действия реагирования ограничены ролями, аудируются и отклоняют цели, которые сломали бы хост.
• Приватные адреса никогда не отправляются провайдерам репутации.
• Экспорт правил нейтрализует инъекцию формул в электронные таблицы.

📄 Технический отчёт (PDF) — 14 страниц, охватывающих архитектуру, каждый экран консоли, все 37 модулей коллектора, модель детекций, действия реагирования и модель безопасности.

Лицензия

Лицензировано под MIT License. См. LICENSE.